GDPR的横空出世引领了新一代隐私保护法规在全球各国的快速推出，但它的核心基础其实是源于的80年代OECD推出的公平信息处理原则（FIPP - Fair Information Practice Principles). 对非法律从业者来说，各种法律条款过于枯燥和记忆，如果能消化FIPP的8条的原则，也就能覆盖到大部分的合规需求。
1.数据收集限制原则：个人信息的收集应通过法律许可及公开的方式，并经用户知晓或者同意才能获得。
解读：它要求的是个人数据获取的合法性，要获得用户同意，不能偷偷摸摸。
2.数据质量原则：处理的个人数据应与它们使用的目的相关，且在该目的范围以内实现准确、完整、和及时地更新。
解读：它要求的是个人数据采集的合理必要性，且数据控制者有义务保障这些数据的正确完整，避免给用户带来负面影响。
3.目的明确原则：在数据收集之前明确说明目的，后续数据处理也只限于实现该目的，并且每次数据使用目的变更时都要详细说明其原因。
解读：它要求的就是数据处理的公开性，需要在采集前即告知用户数据处理的目的，清注意时采集前，不能先上车后补票。
4.使用限制原则：个人信息不应被公开使用，也不应用于与“目的明确原则”中指定的目的不一致的用途，除非：a.取得数据所有者的同意；b.通过法律授权。
解读： 数据不能超范围使用，有新数据应用场景时，需重新核对隐私政策看是否在用户授权的范围内
5.安全保护原则：个人数据需要有合理的安全措施进行保护，防止遗失或者未经授权的访问、毁坏、使用、修改以及公开。
解读：利用技术和管理措施对个人数据进行保护，但怎么理解“合理的”？如果我们的技术和管理安全措施已经满足了常见的业界规范，比如ISO27001/等保三级等，是能证明我们在安全保护上的尽责情况。特定行业中，上级主管机关有额外且明确的安全指南的也需要满足。
6.公开原则：关于个人数据的发展、实践和政策，应该有一个开放的政策。收集的个人数据的范围、数据处理的主要目的以及数据控制者的联系方式都应该是开放和可访问的
解读：数据处理对用户不能是一个黑盒子，要通过隐私政策文档，隐私通知及其他方式帮助用户理解数据的处理情况。当然其中全面/正确/及时更新的隐私政策是最基础的要求。
7.个人参与原则：数据主体拥有以下权利：
a.从数据控制者处得到证实是否有与其相关的数据；
b.在合理的时间和费用范围内，获得与本人相关的数据的话；
c.当关于（a）、（b）条款中规定的权利被拒绝时可要求说明理由，可以质疑此类拒绝；
d.可要求对个人数据进行删除、调整、完善或修改。
解读： 数据主体对自己的数据需要有一定的控制权，需要提供渠道支持他们对自身数据的查询，更正与删除
8.责任原则：数据控制和处理者应有遵守使以上原则并确保得以实施的责任。
解读：数据控制和处理者如未落地如上合规需求，要承担相应的法律责任
为了方便记忆，我编了一个小口诀，希望对你有帮助。
收数据，要同意
不相关，不收集
有目的，很明确
超范围，不可以
讲安全，有保护
数据处理讲清晰
自然人，有权利
八大原则要落地
补充信息
小知识：我国目前不是OECD的成员国
网友评论